Escrito por Lucas Galdino, Advogado de Privacidade e Proteção de Dados no Peck Advogados
Revisado por Maria Fernanda Salcedo e Julia L. Ramos, Advogadas de Privacidade e Proteção de Dados no Peck Advogados
A Lei 13.709/18 (LGPD) lançou diversos desafios, pois se trata de um instrumento legal novo e com toda uma cobrança voltada para o momento disruptivo vivido na sociedade - onde, para impulsionar suas atividades, várias empresas utilizam de tecnologias, das redes e do tratamento de dados pessoais para que possam chegar ao seu principal ideal: o lucro.
Essa realidade não é diferente nos negócios B2B, em que temos o modelo Business-to-Business, ou seja, a ponta inicial - fornecedor - da atividade econômica é de uma empresa, e a outra ponta também é de outra empresa - cliente. Porém, ao tratarmos de uma lei de privacidade e proteção de dados que traz demandas para qualquer negócio (ou pessoa física) que trate dados pessoais com fins econômicos, chega-se à reflexão de quais seriam os prováveis riscos existentes nesse tipo de atividade, que podem impactar a relação negocial.
Adequação à LGPD e o diferencial no mercado B2B
O primeiro ponto de reflexão se daria a partir da análise se a empresa na qual ocorrerá a negociação já está adequada ou, minimamente, possui um projeto de implantação da LGPD. O porquê da adequação implica em trazer riscos menores para o fornecedor, mas também para o cliente/empresa.
O universo B2B está preenchido de modelos de negócio que possuem como foco principal o tratamento de dados pessoais, em que empresas acabam terceirizando atividades suas para outras, e assim criando essa relação negocial em que o objeto é o dado pessoal, como o caso de repassar notas, boletos e recibos para que uma terceira (empresa) possa fazer o balanço fiscal e contábil. Portanto, por tratarem dados pessoais, seguindo a regra de aplicação do Art. 3º da LGPD, a adequação de empresas B2B é mais que necessária, podendo ser tornar um diferencial de valor de mercado.
Atender aos requisitos da LGPD significa possuir os princípios da privacidade e proteção de dados como estruturas basilares na organização (Art. 6º da LGPD), políticas de privacidade que refletem como os dados pessoais são tratados – internamente e externamente, manter um registro de atividades de tratamento (Art. 37 da LGPD), possuir um encarregado nomeado (Art. 41 da LGPD), atender as solicitações de direitos dos titulares (Art. 9º da LGPD), realizar treinamentos com seus colaboradores, além de seguir outras boas práticas de governança de proteção de dados, como a elaboração de Relatório de Impacto naqueles processos que envolvam a utilização do Legítimo Interesse como hipótese legal de tratamento (Art. 10/LGPD), ou então, trate dados pessoais considerados sensíveis ou dados pessoais em larga escala.
Uma adequação, por mais custosa que seja em termos monetários e temporários, retorna a empresa como valor de mercado, trazendo-lhe mais credibilidade e reconhecimento por possuir um programa que está alinhado com a LGPD, o que implica mais tratativas comerciais sendo realizadas, mais lucro para empresa e elos mais sólidos quanto as relações que envolvam o tratamento de dados pessoais, consequentemente, menos riscos de perda de reputação ou de dinheiro.
Simplifique o atendimento às solicitações de titulares com a Palqee Formulário integrado para requisição, gestão de respostas e prazos, e muito mais. |
Definição de papéis e questões contratuais
Os pontos apresentados anteriormente não chegam à exaustão da adequação a referida lei, e por muitas vezes encontramos um ponto olvidado no tratamento de dados pessoais concernentes as atividades B2B, que seria a definição de papéis na relação contratual. A relevância desse ponto está na responsabilização, pois há significativa diferença na responsabilidade dos agentes de tratamento de dados pessoais definidos na lei.
Conceitua a LGPD agentes de tratamento como Controlador e Operador, sendo o Controlador àquele que, seja pessoa natural ou jurídica, de direito público ou privado, que toma decisões a respeito dos dados pessoais, enquanto o Operador, seguindo a mesma qualificação inicial, trata dados pessoais em nome do Controlador.
Fica evidente a maior responsabilização do Controlador na LGPD, mencionado setenta e uma vezes no seu conteúdo, tendo em vista que esse é o detentor dos dados e decide o que fazer com eles, como ceder à um Operador que trate dados em seu nome, como exemplo, realizar o processamento da sua folha de pagamento.
Por mais que a responsabilização seja solidária, ou seja, podendo o titular de dados cobrar de ambos, a cobrança exercida ao papel de Controlador é mais impactante do que ao Operador.
Portanto, é necessário o ajuste contratual e definições de papéis dentro do contrato em relação a atividade que ocorrerá entre as empresas, sendo isso feito através do instrumento contratual per si, ou então, através de um aditivo contratual que não se reduz, exclusivamente, a definir quem é quem, mas que traga cláusulas concernentes à como ocorrerá o tratamento de dados pessoais.
Por mais que as negociações não possuam como objeto do contrato os dados pessoais, vemos que contratos estão fadados a conter dados pessoais de, no mínimo, dos representantes legais, devendo-se apontar como, com qual finalidade, por quanto tempo ficarão armazenadas àquelas informações.
Além da definição de papéis, devemos encontrar cláusulas que tratem sobre privacidade e proteção de dados em um contrato ou aditivo, recomendando-se conter como os dados serão tratados e por quanto tempo, a origem desses dados, qual a finalidade da utilização desses, direitos e obrigações do controlador, as medidas de segurança que serão utilizadas, previsões de auditoria do controlador, assim como também de auxílio nos casos de atendimento aos direitos dos titulares, em casos de violações de dados e consultas à Autoridade Nacional de Proteção de Dados (ANPD), além de apontamentos sobre o que deverá ocorrer com a finalização do contrato.
O elo mais frágil
As relações de negócio de empresas para empresas podem envolver portes absolutamente diferentes entre essas, como empresas de grande porte que tratam com empresas de pequeno porte. É sabido que, a probabilidade é mais alta de, na ponta de empresas de pequeno porte, termos mais atividade humana, ou seja, pessoas cuidando do negócio, do que a utilização de sistemas automatizados (que não envolvem interferência humana), pois esses são mais custosos no seu desenvolvimento e manutenção, ou até mesmo aquisição.
Por esse fator, de haver pessoas nessa outra ponta da relação, os riscos são mais altos, pois a falha humana, mesmo não sendo intencional, faz-se constantemente presente. Um simples ato de confusão de envio de e-mail para um endereço incorreto, por exemplo, o colaborador de uma clínica na qual emite Atestados de Saúde Ocupacional (ASO) em larga escala para uma empresa de grande porte, ao invés de ter enviado para o endereço correto, envia para um outro, teríamos uma violação de dados pessoais.
Portanto, a constante conscientização sobre segurança da informação e manutenção de boas-práticas em políticas próprias, como política de classificação da informação, política de controle de acesso, política de mesa e tela limpa, podem auxiliar na redução da fragilidade desse elo e na consequente redução de riscos. Ressaltando que, além de documentadas, essas políticas também precisam ser aplicáveis, claras, não servindo apenas de instrumento que ilustre boas práticas, mas que sejam vividas rotineiramente.
Impacto x Oportunidade
Não só um tipo de relação negocial, mas um modelo de negócio de fato, as atividades B2B têm se tornado inovadoras e representam um mercado em expansão.
Tendo em vista que cada vez mais as empresas procuram focar em sua atividade matriz como padrão, outras obrigações que estão vinculadas a rotina da organização estão sendo terceirizadas para outras empresas. Devido a esse tipo de relação, que implica em uma empresa como fornecedora e outra como cliente, vê-se o impacto direto da LGPD, não só pela utilização de novas tecnologias, mas por estar intimamente conectado à constante movimentação de dados pessoais, e que precisam ser tratados de forma legítima e nos parâmetros da lei.
As boas práticas de privacidade e proteção de dados, como apontadas, seja no ajuste dos processos ao que requisita a lei, ou nos contratos, representarão um diferencial em um mercado, inclusive uma oportunidade de se destacar dentro de muitos, por estar adequado a LGPD.
Cada vez mais se cobra alinhamento à lei para a construção de uma relação firme e lucrativa, pois dentro da lógica comercial será melhor negociar e fechar um contrato com uma empresa que trará menos riscos à relação do que àquela que, sequer, pensa nessa nova e disruptiva regulação de proteção de dados.
Monitore a cultura de Privacidade com PrivacyCulture® by Palqee A plataforma #1 para monitoramento da Cultura de Privacidade nas empresas. |
Commentaires